Microsoft MSAL für Node.js: Offenlegung von Informationen durch ungenügend geschützte Anmeldedaten

Zusammenfassung

Die Microsoft Authentication Library (MSAL) für Node.js, mit der Microsoft-Entra-Anmeldung in Node.js-Anwendungen integriert wird, schützt Anmeldedaten nicht ausreichend. Ein nicht autorisierter Angreifer im Netzwerk kann Informationen offenlegen, wobei nur die Vertraulichkeit betroffen ist. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich; die genauen Voraussetzungen und die offengelegten Arten von Anmeldedaten sind in den geprüften Quellen nicht beschrieben.

Betroffen

• @azure/msal-node von 1.0.0.0 vor 7.0.1 (gemäss CVE-Eintrag)

Behoben in

• Version 7.0.1 wird von Microsoft als Build des Sicherheitsupdates aufgeführt; ein Upgrade auf 7.1.x wird empfohlen, da damit auch CVE-2026-109461 (GHSA-xcx6-jx8p-x3h5) behoben wird, das nur in 7.1.0 und höher korrigiert ist
• Ob 7.1.x im Bereich von CVE-2026-108470 liegt, wurde nicht verifiziert; der CVE-Eintrag ordnet 7.1.x ausserhalb ein

Umgehung

Unbekannt.

Ausnutzung

• Feld zur Exploit-Reife von Microsoft: kein öffentlich verfügbarer Exploit-Code oder nur ein theoretischer Exploit
• Rapid7: Exploitation Less Likely, nicht öffentlich bekannt gemacht
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial
• Nicht im KEV-Katalog; kein Proof of Concept gefunden

Unsere Empfehlung

• Den Befehl 'npm ls @azure/msal-node' auf Build- und Applikationsservern ausführen, einschliesslich transitiver Abhängigkeiten wie Azure Identity
• Auf 7.1.x aktualisieren, was sowohl diese Schwachstelle als auch CVE-2026-109461 abdeckt
• Internetseitig erreichbare Node.js-Anwendungen mit Entra-Anmeldung und solche mit Microsoft-365-Daten priorisieren
• Die Herstellerhinweise auf weitere Details zu den betroffenen Anmeldedaten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-108470 msrc.microsoft.com
• CVE Record CVE-2026-108470 www.cve.org
• Strix: CVE-2026-108470 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• GitHub Advisory GHSA-xcx6-jx8p-x3h5 github.com
• Snyk: @azure/msal-node snyk.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:35.